KommunixInformationssicherheitsvorfall bei TEVIS-Online

Der Software-Hersteller Kommunix untersucht aktuell einen Informationssicherheitsvorfall auf der Hosting-Infrastruktur des Online-Terminreservierungsdiensts TEVIS-Online. Wie Kommunix mitteilt, wurde der betroffene Server nach Bekanntwerden des Vorfalls am 31. August vorsorglich vollständig abgeschaltet.

Kommunix baut die betroffenen Dienste derzeit auf einer neu aufgesetzten Infrastruktur wieder auf. Die einzelnen Kundeninstanzen sollen schrittweise wieder verfügbar werden. Das Unternehmen hat nach eigenen Angaben inzwischen konkrete Hinweise auf den wahrscheinlichen Angriffsweg und darauf, wie sich die betroffene Infrastruktur technisch absichern lässt. Einzelheiten veröffentlicht Kommunix zunächst nicht, um weder die eigene Infrastruktur noch von Kunden selbst betriebene TEVIS-Online-Systeme zusätzlichen Angriffen auszusetzen.

Betreiber eigener TEVIS-Online-Instanzen sollen konkrete Empfehlungen zur Absicherung ihrer Systeme erhalten. Kommunix will die bekannten Betreiber proaktiv kontaktieren.

Forensische Analyse grenzt Betroffenheit ein

Die vertiefte forensische Untersuchung hat die zunächst vorsichtige Einschätzung des Vorfalls inzwischen präzisiert. Demnach waren zwei Kundeninstanzen in Aktivitäten beziehungsweise Versuche des Angreifers einbezogen. Tatsächlich näher angegriffen wurde nach den bisherigen Erkenntnissen jedoch nur eine dieser Instanzen. Für diese Instanz hat Kommunix inzwischen Entwarnung gegeben: Einen Abfluss personenbezogener Daten konnte das Unternehmen ausschließen. Auch war ein solcher Abfluss nach den vorliegenden Erkenntnissen nicht das Ziel des Angreifers.

Die konkreten Erkenntnisse zur betroffenen Kundeninstanz will Kommunix zunächst direkt mit der jeweiligen Kommune besprechen. Weitere Details sollen erst anschließend veröffentlicht werden.

Die ersten inzwischen identifizierten Aktivitäten des Angreifers reichen bis zum 26. August zurück. Er konnte sich damit mehrere Tage sporadisch auf dem System bewegen, bevor der Vorfall am 31. August erkannt wurde. Kommunix bezeichnet die Erkennungszeit als nicht zufriedenstellend. Sie soll deshalb auch in der technischen Nachbereitung untersucht werden. Einen größeren Schaden oder einen belegten umfangreichen Datenabfluss hat das Unternehmen bislang nicht festgestellt.

Nach der Entdeckung des Angriffs entschied sich Kommunix gegen eine bloße Bereinigung des Servers. Stattdessen wurde das gesamte System abgeschaltet und auf Betriebssystemebene als kompromittiert eingestuft. Die benötigten Dienste werden auf einer neuen Infrastruktur wieder aufgebaut.

Datenhaltung ist auf mehrere Systeme verteilt

Die Architektur von TEVIS-Online begrenzt nach Angaben von Kommunix grundsätzlich die Menge personenbezogener Daten, die auf der öffentlich erreichbaren Infrastruktur gespeichert wird. Reservierungsdaten liegen dort nur vorübergehend. Die eigentliche Verarbeitung und dauerhafte Speicherung erfolgt im TEVIS-Back-End der jeweiligen Behörde oder des von ihr beauftragten Rechenzentrums.

Dieses Back End betreibt der jeweilige Kunde selbst. Kommunix ist zwar Hersteller des TEVIS-Back-Ends und von TEVIS-Online sowie optionaler Hosting-Anbieter für das Online-Produkt, hat aber keinen Zugriff auf die dauerhaft im Back End gespeicherten Daten. TEVIS-Online ist damit keine zentralisierte SaaS-Datenhaltung.

Auf der öffentlich erreichbaren Hosting-Infrastruktur befinden sich grundsätzlich nur Reservierungsdaten, die noch nicht an das jeweilige Back End übertragen wurden. Je nach Synchronisation und Konfiguration des Kunden kann dieser Zeitraum laut Kommunix zwischen wenigen Millisekunden und einigen Minuten liegen. Ist das Back End vorübergehend nicht erreichbar, können die Daten länger zwischengespeichert werden.

Die Trennung der Systeme begrenzt damit auch die Menge personenbezogener Informationen, die bei einem erfolgreichen Angriff auf die öffentlich erreichbare Infrastruktur zugänglich sein könnte. Für die weitere Untersuchung bedeutet die Architektur allerdings auch, dass sich eine mögliche Betroffenheit einzelner Reservierungen oder Bürgerinnen und Bürger teilweise nur im jeweiligen TEVIS-Back-End feststellen lässt.

Kommunix stellt den Betreibern deshalb einen Leitfaden zur Verfügung. Damit können sie Datensätze identifizieren, die im möglicherweise relevanten Zeitraum auf ihrem eigenen TEVIS-System verarbeitet wurden. Bei den zwei Kundeninstanzen, auf denen relevante Aktivitäten festgestellt wurden, untersucht Kommunix den Vorfall gemeinsam mit den jeweiligen Betreibern.

VISITVIS-Online ebenfalls abgeschaltet

Auch der Dienst VISITVIS-Online ist derzeit nicht verfügbar. Kommunix hat ihn vorsorglich abgeschaltet, weil er historisch auf derselben Server-Infrastruktur betrieben wurde. Nach aktuellem Untersuchungsstand liegt die Schwachstelle jedoch im Umfeld von TEVIS-Online. Hinweise auf einen entsprechenden Angriff auf VISITVIS-Online gibt es dem Unternehmen zufolge nicht.

Zusätzlich werden die auf VISITVIS-Online zwischengespeicherten Daten aus Verpflichtungserklärungen auf Anwendungsebene verschlüsselt gespeichert.

Die forensische Untersuchung des Vorfalls läuft weiter. Kommunix will gemeinsam mit den betroffenen Betreibern insbesondere prüfen, ob personenbezogene Daten tatsächlich eingesehen oder übertragen wurden. Den übrigen Kunden stellt das Unternehmen Informationen für eine eigene Prüfung zur Verfügung und unterstützt sie bei Bedarf über den Support.

Ob aus den Ergebnissen Melde- oder Informationspflichten entstehen, soll gemeinsam mit den betroffenen Stellen bewertet werden. Über den Fortgang der Arbeiten informiert Kommunix seine Kunden auf einer gesonderten Informationsseite. Nach Abschluss der Untersuchungen will das Unternehmen die wesentlichen Erkenntnisse und die daraus abgeleiteten Maßnahmen in einem Abschlussbericht veröffentlichen.